22 Yıllık PostgreSQL Hatası Uzaktan Kod Çalıştırmaya Dönüştü

Bir güvenlik araştırmacısı, PostgreSQL veritabanı yönetim sisteminde 22 yıldır fark edilmeyen bir güvenlik açığı keşfetti. Habere göre, araştırmacı bu açığı uzaktan kod çalıştırma (RCE) elde etmek için kullanabildi. Açık, veritabanının veri tiplerini işleme biçimindeki bir tür karışıklığından kaynaklanıyor.

Araştırmacı, aslında pg_clickhouse adlı bir eklentideki başka bir açık üzerinde çalışırken PostgreSQL'in kendi verilerini nasıl yorumladığına dair sorular sormaya başlamış. Makalede anlatıldığına göre, bir bileşik türün içine bir değer yerleştirip alan tiplerinden birini değiştirdikten sonra değeri geri okumak, bu tür karışıklığını tetikliyor. Bu da araştırmacının gördüğü en güvenilir bellek bozma sömürülerinden birine yol açıyor.

Keşif, PostgreSQL'in yaygın kullanımı göz önüne alındığında ciddi bir risk oluşturuyor. Açığın nasıl sömürüleceği henüz kamuya açıklanmadı, ancak araştırmacı blog yazısında tüm hikayeyi anlatıyor. Habere göre, daha önce pg_clickhouse açığı da ilgili tarafa bildirilmiş ve Haziran ayında düzeltilmiş.

Bu olay, açık kaynak veritabanlarının güvenliği konusunda dikkatli olunması gerektiğini bir kez daha gösteriyor. PostgreSQL kullanan kuruluşların, yamaları yakından takip etmesi ve sistemlerini güncel tutması önem taşıyor.